Juridische voorspellingen voor 2016 (en terugblik op die van 2015)

Geplaatst op in Iusmentis, 27 reacties

Goed, en dan op deze laatste dag van het jaar traditiegetrouw mijn juridische voorspellingen voor 2016. Maar eerst, wat voorspelde ik voor 2015 en wat kwam daarvan terecht:

  1. In de herhaling: de Europese privacywet (Verordening bescherming persoonsgegevens) komt er maar het blijkt een monstrum van onduidelijke regels die elkaar intern tegenspreken. Nou, op de valreep: er is op 15 december een compromis bereikt voor de tekst van de Europese Privacyverordening. De definitieve knoop moet nog worden doorgehakt.
  2. Het Hof van Justitie doet een uitspraak die het mogelijk maakt TPB-achtige sites te blokkeren bij de provider. Nope. Er was wel een verzoek aan het Hof maar nog geen antwoord.
  3. Microsoft moet van de Amerikaanse hogerberoepsrechter data van Europese cloudklanten afgeven, maar doet dit niet. De FUD van Europese concurrenten bereikt ongekende hoogten. Hoewel er afgelopen september gepleit werd, is er nog geen arrest. In de praktijk ging de discussie veel meer over de Safe Harbor-uitspraak natuurlijk.
  4. Er komt een vonnis over bitcoins waar ik hoofdpijn van krijg. Op bitcoinhandel zit geen btw, hoofdpijn kreeg ik er niet echt van.
  5. Gecrowdsourced: Lennart wint met zijn voorspelling dat de bewaarplicht zou sneuvelen én de minister kwam doodleuk met een nieuw voorstel, hoewel met iets meer vertraging dan gedacht.

Wat voor mij de grootste verrassing van 2015 was, was toch wel de vernietiging van Safe Harbor. Ik heb het altijd een raar ding gevonden, maar dat hij ten volle ongeldig zou worden verklaard, dat had ik niet verwacht.

Goed, en dan nu.. wat staat ons in 2016 te wachten?

  1. Niemand krijgt een boete of aanmaning wegens overtreding van de wet meldplicht datalekken. Ja, teleurstellend maar mijn ervaring met dit soort wetten (hoi cookiewet) is dat ze niet snel worden gehandhaafd. En dat is erg jammer, want juist in dat eerste jaar kun je nog gedrag beïnvloeden. Daarna wordt het popups voor de bezoekers.
  2. Er komt een nieuwe Safe Harbor-afspraak tussen de EU en de VS. Iedereen voelt op zijn klompen aan dat deze net zo wankel is als de vorige maar het alternatief is helemáál onwerkbaar, dus we doen alsof het een prima afspraak is.
  3. Een clouddienstverlener gaat failliet en zijn hoster zet alles offline, daarmee een hele berg klanten duperend. Dit leidt tot een rechtszaak waarin wordt bepaald dat dat volkomen terecht is, omdat data immers niets is.
  4. Een werknemer wordt door zijn werkgever verplicht tot afstaan van een werkgerelateerd social media account. Een oude voorspelling (2014), maar het zingt steeds meer rond.
  5. En ook dit jaar weer een gecrowdsourcete. Kom maar op!

Arnoud

Jaaroverzicht 2015: een plusje voor de reacties

Geplaatst op in Iusmentis, 20 reacties

Net zoals elk jaar is het weer tijd voor de jaaroverzichten. Ik zeg het niet vaak genoeg: dank jullie wel allemaal voor het reageren. Het maakt deze blog zo veel meer dan alleen maar een meningsuitingsmiddel.

Een speciale pluim voor de actiefste reageerders (behalve mezelf) dit jaar:

  1. Elroy (358)
  2. Corné (263)
  3. Wim ten Brink (254)
  4. hAl (205)
  5. NP (137)

Maar kwantiteit is één ding, kwaliteit een ander. En daarvoor hebben we nu al een paar jaar de plusjes.

Update (11:56) Bovenstaande selectie is een all-time selectie. De meest gepluste reactie die geplaatst is in 2015 is de hierboven aangehaalde in de T-Mobile draad, op de voet gevolgd door nog eentje uit die draad. Sowieso was dat een goudmijn als je plusjes wilde, die draad.

De eerstvolgende topgepluste uit een andere draad was Corné’s WTF uit de Tom Kabinet-draad. Daarna Freeaqingme’s dilemma over het opgeven van zijn/haar geslacht bij een ov-chipkaartrestitutie.

De meeste plusjes dit jaar ontving Elroy (323 stuks), op de voet gevolgd door Corné (252), NP (221), Wim ten Brink (202) en hAl (162). Complimenten!

Wie andere statistieken wil, ik hoor het graag!

Arnoud

Jaaroverzicht 2015: hoe vonden mensen deze blog?

Geplaatst op in Iusmentis, 40 reacties

Net zoals elk jaar is het weer tijd voor de jaaroverzichten. Na gisteren de bezoekersstatistieken vandaag eens kijken naar de vraag, hoe vonden mensen me? Welke sites en trefwoorden leverden zoal bezoekers op?

Verreweg het populairste is natuurlijk Google. Maar wat me opvalt, is dat RSS erg populair is: 19 procent van alle bezoeken is op de /feed/ URL voor de RSS-readers. Daarnaast brengt Feedly zo’n 6 procent van de bezoeken. Andere populaire bronnen zijn Tweakers.net, Nu.nl en diverse forums (zoals de Viva).

Het intrigerendste vind ik zelf altijd het kijken naar de zoekopdrachten waarmee men binnenkomt. Ik doe een greep uit veel voorkomende opdrachten:

  • aansprakelijk pakket niet bezorgd zakelijk – in diverse varianten, het blijft een probleem in de praktijk.
  • pakkans usenet downloaden – het gevoel blijft dat het minder kwetsbaar is dan torrenten
  • seksfilmpje whatsapp – vanwege deze blog denk ik.
  • https://blog.iusmentis.com/ – waarom zou je dat Googelen?
  • verwijderen linkedin connecties op verzoek werkgever – het blijft een gevoelig onderwerp.

Meelezende docenten ICT: wie had er een huiswerkopdracht “noem nog twee technische hulpmiddelen die docenten gebruiken (…)”? Zo ja, dan heeft iemand het antwoord hier lopen googelen.

En waarom “watch als je het over de duivel hebt”? Wat verwacht je te vinden als je dat typt?

Oh en “baas stuurt app omdat hij vanuit huis op de camera’s meekijkt” – baas, dat mag niet!

Volstrekt niet representatieve enquête: hoe vaak lezen jullie deze blog, en welk hulpmiddel (RSS, nieuwsbrief, Feedly, etc) gebruik je daarvoor?

Arnoud

Jaaroverzicht 2015: de populairste berichten

Geplaatst op in Iusmentis, 16 reacties

Net zoals elk jaar is het weer tijd voor de jaaroverzichten. Ik vind het zelf altijd interessant om te kijken wat veel gelezen wordt, waar de meeste reacties vandaan komen en natuurlijk wíe er allemaal reageren.

De meest bekeken berichten uit dit jaar:

  1. Hoe rampzalig zijn de nieuwe btw-regels voor online ondernemers?, een brandende vraag uit januari.
  2. ‘Grotere kans op boete voor Nederlandse Popcorn Time-gebruikers’, wacht, wat? – tot mijn verbazing scoort btw hoger dan auteursrechten.
  3. Mag T-Mobile haar Flex en Relax-abonnementen zomaar opzeggen?
  4. “Ik wil niet worden gefilmd”, is dat rechtsgeldig?
  5. Weer zo’n disclaimer die nergens op slaat, in dit geval over scholieren die verplicht hun tas moeten inleveren op eigen risico.

De meeste reacties dit jaar trokken:

  1. Mag T-Mobile haar Flex en Relax-abonnementen zomaar opzeggen? (154 reacties)
  2. Hoe rampzalig zijn de nieuwe btw-regels voor online ondernemers? (90 reacties)
  3. Schoolcomputer says no tegen ruilverzoek inschrijving, mag dat? (85 reacties)
  4. Met een slimme meter kan iedereen zien wanneer je doucht (70 reacties)
  5. Nee, argh, je kunt je niet uitschrijven bij de Nederlandse staat, mafketel (67 reacties)

De minst gelezen berichten:

  1. Telecomproviders mogen inflatiecorrectie toepassen van EU-Hof
  2. Wanneer is een click-wrapovereenkomst rechtsgeldig?
  3. Aankoop en verkoop van bitcoins is vrij van btw

BTW en inflatie is kennelijk saai?

En de minste reacties:

  1. Wanneer is een click-wrapovereenkomst rechtsgeldig? Oké, click-contracten zijn écht een saai onderwerp. Eén reactie.
  2. Mag een verhuurder per camera meekijken en -luisteren met zijn huurders? Twee reacties. En ik maar denken dat ik een maatschappelijke misstand te pakken had.
  3. Kun je een zwartelijstbeheerder tegenhouden met een beroep op de Wbp? Drie reacties.

Wat vonden jullie het leukste/beste/interessantste/stimulerendste artikel van 2015? En waarover moet ik echt niet meer bloggen in 2016?

Oh, en wie andere statistieken wil, ik hoor het graag!

Arnoud

Fijne feestdagen!

Geplaatst op in Iusmentis, nog geen reacties

us2011198807A1-kerstboomspelpatent2015Iedereen fijne feestdagen en een gelukkig alsmede juridisch correct 2016! Wat gaat de tijd toch weer snel.

Net zoals voorgaande jaren mag u zich vermaken met een gepatenteerde kerstboom want het is ook voor mij kerstvakantie. Wel komen er volgende week diverse jaaroverzichten! Verzoekjes om interessante statistieken en wtf-berichten zijn welkom.

(Afbeelding: US aanvraag 2011/0198807, een bordspel waarbij het doel is onderdelen van een kerstboom te verzamelen. Mocht u zich heel erg vervelen na het kerstdiner.)

Arnoud

“Die blog moet eraf want dat vonnis geeft een verkeerd beeld!”

Geplaatst op in Iusmentis, 25 reacties

angry-protestMet enige regelmaat is wat overdreven, maar het is meer dan nooit: klachten naar aanleiding van een blog over een of ander vonnis, door een daarbij betrokken partij die vindt dat de zaken verkeerd voorgesteld zijn. Had ik niet even contact kunnen opnemen, zodat ik de juiste feiten had gebruikt in plaats van de bizar verdraaide situatie zoals die uit het vonnis blijkt? Eh, nee.

Het is dezelfde reden als waarom ik liever niet blog over lopende rechtszaken. Het is moeilijk na te gaan wat echt de feiten zijn. De ene partij kan een hoop informatie geven, maar hoe weet je wat daarvan echt juist is en wat -ahem- enigszins in zijn eigen voordeel is voorgesteld? En de andere partij wil liever niets zeggen (bijvoorbeeld om het kruit te bewaren tot de rechtszaak) waardoor je dan al helemaal een vertekend beeld krijgt. Enige uitzondering voor mij is als het een grote geruchtmakende zaak is en ik het idee heb dat er voldoende openbare informatie is om een mening over te geven.

Vandaar dat mijn insteek altijd is: ik wacht op het vonnis en ik blog op basis van wat ik daar uit haal. De feiten zijn dus zoals de rechter heeft vastgesteld, en wat de rechter concludeert is de juiste oplossing van het verhaal. (Of niet, als ik het er niet mee eens ben. Maar als het goed is, blog ik dan altijd “de rechter zegt X en volgens mij moet het Y zijn”.)

Het is natuurlijk altijd mogelijk dat een vonnis de feiten verkeerd voorstelt, of dingen weglaat die eigenlijk essentieel waren en tot een andere uitkomst hadden geleid. Daar is hoger beroep voor uitgevonden. Maar voor een buitenstaander is dat niet in te schatten tenzij je het héle dossier gaat uitpluizen en je eigen beoordeling gaat maken. Dan ga je dus in feite het gerechtelijke proces nog een keer doen. Maar sorry, maar zó werkt het niet.

Dus nee, blogs gaan er niet af en worden ook niet geëdit op basis van achteraf aangedragen nieuwe informatie. En partijen bellen of ze een mening hebben over het vonnis voordat ik ga publiceren, hoeft ook niet. Een weerwoord bieden kan gepast zijn binnen de journalistiek maar is zeer zeker geen wettelijke eis, helemaal niet als er een objectieve bron is (zoals een vonnis) waar je gewoon op kunt varen.

Wat vinden jullie? Is dit redelijk, of ben ik hier te hardvochtig naar door een vonnis getroffen partijen?

Arnoud

Wat moet ik doen als mijn mediabureau failliet gaat?

Geplaatst op in Informatiemaatschappij, 22 reacties

gallery-website-templates.pngEen lezer vroeg me:

Ik heb een website laten bouwen bij een fullservice mediabureau. Zij hosten, doen vormgeving, hebben de domeinnaam geregistreerd en regelen gewoon alles. Erg prettig, maar nu zitten zij in zwaar weer en is er een bewindvoerder aangesteld. Daarmee gaat het allemaal een stuk minder vlot. Ik wil graag naar een ander, maar dat kan niet want ik krijg de content en de domeinnaam niet. Hoe los ik dat op?

Het uitbesteden van ontwikkeling of beheer van software, websites en dergelijke heeft veel praktische voordelen, maar een groot praktisch nadeel: je bent een stuk controle kwijt. En zeker in situaties zoals van de vraagsteller, bij faillissement of surseance, krijg je die niet eenvoudig terug.

Veel mensen denken dat je in deze situatie ‘gewoon’ je data en je domeinnaam opeist en daarmee naar een ander gaat. Dat doe je ook met je administratie als de boekhouder failliet gaat of met de inhoud van je opslagbox als de archieflocatie moet sluiten. Alleen, zo werkt het niet.

Data is niets, juridisch gezien. Ik noem het altijd gestolde dienstverlening. Het lijkt een ding, een zaak maar dat is het zeker niet. Het is een bijproduct van een dienst, en dergelijke bijproducten hebben geen status in de wet. Je kunt dus niet op grond van de wet ‘je’ website of ‘je’ content opeisen bij een dienstverlener die als dienst deze beheert, onderhoudt of ontwikkelt. Juridisch gezien kun je niet eens het woord ‘je’ gebruiken om die dingen mee aan te duiden – pardon, het zijn niet eens dingen.

De enige juridisch remedie is dat je contractueel afspreekt dat men je een kopie van de data in kwestie verschaft in bepaalde gevallen. Dat is dat gewoon een extra dienst (waar al of niet een extra vergoeding voor wordt gerekend) maar het nadeel is wel dat je nu afhankelijk bent van een correcte nakoming door de dienstverlener. In geval van faillissement nakoming afdwingen is een vrijwel kansloze zaak.

Ook hoor ik wel eens de insteek van opeisen op grond van auteursrecht of databankrecht. Dat kun je ook vergeten: het is geen inbreuk op auteursrecht of databankrecht om te weigeren toegang tot een kopie van het beschermde werk te verschaffen. “Geen toegang tot de gegevens” hebben is niet het soort schade waar deze intellectuele-eigendomswetten voor gemaakt zijn.

Voor mij is er maar één praktische oplossing: zorg dat je gewoon elke nacht een kopietje van ‘je’ data maakt en buiten de macht van de dienstverlener opslaat. Je kunt het zelf bewaren of dat een derde laten doen, maar dan staat het in ieder geval ergens bereikbaar. Oh, en zorg er voor dat de domeinnaam op jouw naam staat. Ik snap werkelijk niet waarom anno 2015 (of 2016) bedrijven nog een ander ‘hun’ domeinnaam laten registreren.

Arnoud

Wanneer is een cc een overtreding van de privacywet (en dus boetewaardig)?

Geplaatst op in Ondernemingsvrijheid, Privacy, 41 reacties

mail-to-cc-bccEen lezer vroeg me:

Recent kreeg ik een aankondiging van een webwinkel. Ik niet alleen, nog 254 andere mensen ook. Ja, exact 254, want ik kon de mailadressen van iedereen zien in het cc: veld. Is dat nu ook een datalek? Wat voor boete staat erop?

Per 1 januari bevat de Wbp een meldplicht datalekken, maar belangrijker: vanaf dat moment mag de Autoriteit Persoonsgegevens (de new, tough Cbp) boetes opleggen voor overtreding van zo ongeveer elke bepaling uit de privacywet. De voor mij belangrijkste bevoegdheid is die van het schenden van je beveiligingsplicht, kort gevolgd door de verwerking zonder grondslag.

Een verwerking zonder grondslag wil zeggen, je doet iets met persoonsgegevens maar je treedt buiten de gegeven toestemming of je kunt geen rechtvaardiging geven onder je dringend eigen belang of onder een overeenkomst die je hebt. En ja, dat kan al zo simpel zijn als het gebruiken van het cc: veld in plaats van bcc: als je meerdere ongerelateerde mensen wilt mailen.

In oktober publiceerde het Cbp concept-beleidsregels over boetes. Deze zijn nog niet definitief maar ik verwacht niet dat ze héél anders gaan worden. In het kort classificeert men overtredingen in drie categorieën (licht, middel, zwaar). Per categorie is er een basisboete en een bandbreedte, en de boete wordt vastgesteld als de basis plus of min ten hoogste de bandbreedte. De exacte hoogte van de plusmin volgt uit het concrete geval.

Het verwerken van gegevens zonder grondslag of het hergebruiken voor niet toegestane doelen valt in categorieën middel of zwaar, zo blijkt uit het concept. Daarmee ligt de boete in beginsel op zijn minst op € 120.000, de ondergrens van de bandbreedte van categorie twee (middel). De omvang van de inbreuk weegt mee, dus hoe meer adressen hoe duurder het wordt.

Een boete kan echter pas opgelegd worden nadat een aanwijzing over de overtreding niet is opgevolgd, of als blijkt dat sprake is van opzettelijk of grof nalatig handelen. Die gaat nog een lastige worden bij cc-foutjes, omdat dat vrijwel altijd onnadenkend gebeurt. Je wilt bcc, je klikt niet goed en je drukt te snel op verzenden. Dat kan ik geen ‘opzet’ noemen. Van grof nalatig, of beter gezegd ‘het gevolg van ernstig verwijtbare nalatigheid’, is sprake

indien de overtreding het gevolg is van grof, aanzienlijk onzorgvuldig, onachtzaam dan wel onoordeelkundig handelen.

Ik denk dat de term ‘grof’ op al die andere kwalificaties slaat, dus grof onzorgvuldig, grof onachtzaam of grof onoordeelkundig. En dat houdt dan in dat je niet zomaar onachtzaam of onzorgvuldig moet zijn geweest maar best wel heel erg. En dán wordt het spannend, want is dit iets dat iedereen zou moeten weten en niet moeten laten gebeuren, of is dit het soort dikkevingerfout dat iedereen kan overkomen en dus ‘gewoon’ onzorgvuldig is?

Arnoud

Mag de politie rechercheren op Facebook of Twitter?

Geplaatst op in Regulering, 6 reacties

twitter-agent-politieDe politie rechercheerde op Facebook niet volgens de regels in de recente jihadzaak, maar dit heeft geen gevolgen voor het vonnis. Dat las ik bij RTL Z. Er was stelselmatig op onjuiste wijze informatie gewonnen via Facebook, en dat is in strijd met de regels die de politie moet volgen bij informatie inwinnen.

Het vonnis laat zien hoe de zaak in zijn werk ging. De zes verdachten in deze zaak hadden diverse socialemediaaccounts, zoals Facebook en Twitter. De politie wilde de daar beschikbare informatie monitoren en besloot daarom nepaccounts aan te maken (op namen van “Aboe Noewas” en “Ab Bashir”) die zelf openbare informatie plaatsten, maar ook berichten en Facebook-vriendschapsverzoeken stuurden naar de verdachten. Dat werkte, en men kreeg zo toegang tot de informatie die deze verdachten plaatsten. Die werd vervolgens gelogd voor later gebruik.

Nu is er op zich weinig mis met een nepaccount aanmaken en anderen gaan bevrienden of volgen, maar specifiek voor de politie ligt dat anders. Die mogen niets doen dat de grondrechten van de burger schendt, tenzij daar een grondslag in het wetboek van strafvordering voor gevonden wordt. Die werd gevonden in artikel 126j Strafvordering:

In geval van verdenking van een misdrijf kan de officier van justitie in het belang van het onderzoek bevelen dat een opsporingsambtenaar (…) zonder dat kenbaar is dat hij optreedt als opsporingsambtenaar, stelselmatig informatie inwint over de verdachte.

Taalkundig sluit dit best goed aan bij “onder een nepnaam op Facebook een verdachte bevrienden en zien wat hij post”. Toch maakte de verdediging bezwaar: de bevelen waren over een zeer beperkte periode gegeven, en er werd veel langer gevolgd en geregistreerd. Het OM stelde daar tegenover dat een politieagent in het algemeen gewoon mag rondkijken wat mensen in het openbaar doen en zeggen. Artikel 3 Politiewet geeft haar die bevoegdheid, zolang er geen inbreuk op de grondrechten plaatsvindt.

De rechtbank duikt in de wetsgeschiedenis van artikel 126j en merkt dan op:

‘Zoals de politie, al dan niet in burger, op straat mag surveilleren en rondkijken, zo mag een rechercheur vanachter zijn computer hetzelfde doen op internet. Een uitdrukkelijke wettelijke grondslag is daarvoor niet nodig’. Daarbij wordt door de Minister opgemerkt dat deze bevoegdheid om rond te kijken op een openbaar netwerk niet de bevoegdheid impliceert om stelselmatig voor de uitoefening van de politietaak gegevens van internet te downloaden en in een politieregister op te slaan.

Het meelezen met actuele berichten die iemand post op Facebook op Twitter, zou je nog kunnen zien als gewoon rondkijken. Maar je kunt veel meer: zodra je bevriend bent met iemand, kun je terug in zijn geschiedenis en oude berichten lezen. Daarmee had de politie dat alleen mogen doen onder een artikel 126j-bevel voor de gehele periode dat er werd gevolgd en gelogd.

Een vormverzuim dus, zoals dat juridisch heet. In politieseries is dan meteen de hele zaak stuk en kunnen de verdachten triomfantelijk naar huis. Maar in de Nederlandse rechtspraktijk werkt het niet zo. De rechtbank kijkt eerst hoe ernstig de gevolgen waren en beslist dan of bijvoorbeeld dat bewijs buiten beeld moet blijven, of dat strafvermindering wordt opgelegd. Grof gezegd hangt dat helemaal af van hoe ernstig de inbreuk is en in hoeverre de verdachte daardoor geen eerlijk proces meer krijgt.

De rechter gaat in dit geval behoorlijk soepel om met het verzuim:

De verzamelde gegevens waren publiekelijk toegankelijk. Het betreft dus een andere (en minder ernstige) situatie dan de situatie waarin informatie wordt verzameld in een afgesloten ‘ruimte’ (bijvoorbeeld een woning). Van belang in dit verband is ook dat verdachten hun Facebookpagina’s met name gebruikten om uit te dragen waar zij voor stonden, voor hun boodschap; het was hen er juist om te doen dat anderen kennis namen van de inhoud van hun pagina’s.

Oftewel: omdat de verdachten zelf bedoeld hadden de informatie wijd te verspreiden via Facebook, mogen ze nu niet klagen dat de politie die informatie heeft opgevangen. Ook al gebeurde dat met een onrechtmatig opgezet nepaccount. De dingen die met bevel hadden moeten gebeuren, worden geëxcuseerd met de opmerking dat “als de politie aan de officieren van justitie had gevraagd om bevelen ex artikel 126j Sv af te geven, dan zouden deze zonder enige twijfel zijn verstrekt.” Oftewel, niets aan de hand, opgelost & topicslotje. Dat gaat wel erg snel.

Het precedent is dus duidelijk. De politie mag incidenteel kijken op Facebook of Twitter. Wil men mensen structureel volgen of vriend worden, dan is in principe een bevel nodig. Maar belangrijk is wel hoe openbaar de verdachte de informatie maakt. Als het hun evidente bedoeling is informatie zelf wijd te verspreiden, dan mag de politie gerust meekijken. Vriend worden van een persoon met afgeschermd account die daar privédingen deelt met een beperkte groep, zou dus een specifiek bevel vergen. Ik moet zeggen, daar kan ik me wel in vinden.

Arnoud

De legaliteit van bootersites en ddos’en kopen

Geplaatst op in Security, 11 reacties

denial-service-ddos-aanval-attackDDoS-aanvallen, waarbij websites worden overspoeld met dataverkeer, worden steeds gemakkelijker en goedkoper, door de opkomst van speciale websites die die aanvallen op commando uitvoeren. Dat meldde de NOS vorige week. Zogeheten booter-sites bieden een makkelijke interface om tijdelijke botnetkracht in te huren om een specifieke website even te overbelasten. Legitieme dienstverlening met het doel de eigen website te kunnen controleren, heet het dan. In juridische taal: kom nou toch.

Het uitvoeren van een ddos-aanval is strafbaar, maar de strafmaat is nog wat onduidelijk. In beginsel staat er één jaar cel op (art. 138b Wetboek van Strafrecht). Maar de paar rechtszaken waarin mensen vervolgd werden voor ddos-aanvallen, hadden grotere gevolgen en daarom werd daar een ander artikel van stal gehaald: het “vernielen, beschadigen of onbruikbaar maken” van een computersysteem of een “stoornis in de gang of in de werking” daarvan veroorzaken (art. 161sexies Strafrecht). Zeker als je dan “gemeen gevaar” of levensgevaar veroorzaakt, gaat het hard met de strafmaat – tot vijftien jaar cel.

Een bootersite voert niet op eigen initiatief een ddos-aanval uit, maar faciliteert het in gang zetten daarvan na betaling door een klant. Op zijn minst is dat medeplichtigheid: het verschaffen van gelegenheid en middelen tot het plegen van het misdrijf.

Vrijwel elke site zegt dan ergens braaf, je koopt een stresstest en je moet een vinkje zetten dat je toestemming hebt van de eigenaar. Maar zoals ik dus al zei, juridisch gezien: moehaha. Kom nou toch. Er zijn een hoop situaties waarbij je kunt zeggen, ik lever een dienst en het hangt van de klant af of het legaal is en dat kan ik niet beoordelen, maar hier? Nope. Vergeet het maar. Al is het maar omdat die sites totaal niet ingeregeld zijn op het voorkomen van misbruik.

En er zit vast ook een stukje vooroordeel in. Een site met groene Courier-letters op een zwarte achtergrond is eerder strafbaar dan zwarte schreefloze letters op een witte achtergrond met strakke stockfoto’s en een blauwe balk met daarin een keurig securitylogo en daaronder “over ons – contact – werken bij” et cetera. Maar ik heb niet het gevoel dat dat hier echt de doorslag gaat geven.

DDoS-inkoopsites schieten “als paddestoelen uit de grond”, aldus een politiewoordvoerder tegen de NOS. Waardoor dat precies komt, is mij niet helemaal duidelijk. Misschien zijn er meer verveelde pubers die het wel grappig (lauw? hoe heet dat tegenwoordig) vinden om elkaar plat te gooien. Of het is makkelijker geworden ddos-aanvallen in te kopen waardoor je makkelijker als reseller aan de slag kunt. Of mis ik iets?

Arnoud